Kepala compliance kamu baru aja forward email dari Brussels. Subject-nya: “Notice of Investigation – EU AI Office.” Produk AI perusahaan kamu masuk radar. Tim legal panik, engineering bingung, board minta jawaban. Pertanyaan yang langsung muncul: siapa sih yang berwenang audit? Kok bisa produk kita diperiksa? Dan yang paling bikin deg-degan: berapa dendanya?
EU AI Act bukan cuma ngatur soal dokumentasi teknis dan transparansi. Di balik itu semua, ada struktur penegakan bertingkat yang melibatkan otoritas nasional, EU AI Board, dan Komisi Eropa dengan gigi yang cukup tajam. Kalau kamu paham arsitektur enforcement ini, kamu bisa prediksi kapan dan kenapa kamu masuk radar. Kalau nggak, kamu cuma bisa berdoa.
⚡ Jawaban Singkat / Key Takeaways
EU AI Act membentuk arsitektur penegakan dua level: otoritas pengawas nasional di setiap negara anggota bertindak sebagai garda depan audit dan investigasi, sementara EU AI Board dan AI Office menangani koordinasi lintas batas dan GPAI. Denda dihitung berdasarkan persentase global annual turnover atau nominal tetap (whichever higher), dan investigasi bisa dipicu oleh inspeksi rutin, laporan insiden, atau pengaduan individu. Titik buta terbesar? Banyak perusahaan nggak sadar bahwa kegagalan dokumentasi bisa jadi trigger investigasi, bahkan sebelum ada harm ke pengguna.
Arsitektur Penegakan: Siapa yang Ngawasin Kamu?
Ini pertanyaan pertama yang selalu muncul: siapa yang bakal datang audit? Jawabannya tergantung dari jenis sistem AI kamu dan di mana dampaknya terjadi. EU AI Act mendesain struktur pengawasan bertingkat yang mirip GDPR, tapi dengan tambahan lapisan khusus untuk AI.
Level 1: Otoritas Pengawas Nasional (National Competent Authority)
Setiap negara anggota EU wajib membentuk national competent authority yang bertanggung jawab langsung mengawasi implementasi AI Act di wilayahnya. Mereka ini garda depan. Kalau ada inspeksi ke kantor kamu di Paris, Berlin, atau Amsterdam, merekalah yang datang.
- Wewenang: Akses penuh ke dokumentasi teknis, dataset training, source code (dalam kondisi tertentu), log inference, dan risk management system.
- Kewenangan investigasi: Bisa melakukan unannounced inspection (inspeksi mendadak), meminta informasi ke downstream deployer, dan menghentikan operasi sistem AI yang melanggar.
- Yang wajib kamu tahu: Otoritas nasional ini adalah ujung tombak audit. Mereka bukan cuma nunggu laporan, mereka bisa proaktif melakukan market surveillance. Produk bisa diuji tanpa pemberitahuan sebelumnya.
Mirip kayak DPA (Data Protection Authority) di GDPR, tapi dengan mandat spesifik ke sistem AI. Di Jerman, otoritas ini kemungkinan besar ada di bawah Bundesnetzagentur. Di Prancis, CNIL diperluas mandatnya. Di Irlandia, DPC yang juga menangani AI Act enforcement buat perusahaan tech besar yang berkantor di Dublin.
Level 2: EU AI Board dan AI Office
Di atas otoritas nasional, ada EU AI Board yang terdiri dari perwakilan setiap negara anggota plus Komisi Eropa. Kalau otoritas nasional itu kayak polisi lokal, EU AI Board itu kayak interpol-nya AI.
- Fungsi utama: Koordinasi enforcement lintas negara, memastikan konsistensi interpretasi aturan, dan memberikan rekomendasi ke Komisi Eropa tentang klasifikasi high-risk AI baru.
- AI Office: Ini entitas operasional di bawah Komisi Eropa yang khusus menangani GPAI (General Purpose AI) seperti GPT, Claude, Gemini. Kalau model kamu masuk kategori GPAI with systemic risk, AI Office adalah supervisor langsung kamu, bukan cuma otoritas nasional.
- Kewenangan kunci: AI Office bisa meminta dokumentasi langsung dari GPAI provider, melakukan evaluasi model secara independen, dan memerintahkan tindakan korektif yang mengikat secara EU-wide.
Poin penting yang sering terlewat: kalau produk kamu high-risk dan beroperasi di lebih dari satu negara EU, EU AI Board yang memastikan kamu nggak cuma comply di satu negara lalu lempar masalah ke negara lain. Mereka mengoordinasikan investigasi lintas batas.
Level 3: Notified Bodies (Pihak Ketiga)
Untuk kategori high-risk AI tertentu, AI Act mewajibkan conformity assessment oleh notified body independen. Ini pihak ketiga yang ditunjuk resmi oleh negara anggota untuk menilai apakah sistem AI kamu memenuhi persyaratan sebelum bisa masuk pasar EU.
Notified body ini bukan regulator, tapi punya kekuatan signifikan: kalau mereka nggak kasih sertifikat conformity, produk kamu nggak bisa beredar di EU. Mereka audit dokumentasi, testing procedure, dan risk management system kamu. Mirip kayak ISO auditor, tapi dengan mandat legal dari AI Act.
Struktur Denda: Bukan Satu Angka, Tapi Tiga Tingkat
Nah, ini bagian yang bikin jantung compliance officer berdetak lebih kencang. Denda EU AI Act dihitung dengan formula yang cukup brutal: persentase dari global annual turnover atau nominal tetap, whichever higher. Strukturnya tiga tingkat, masing-masing untuk jenis pelanggaran berbeda.
Tier 1: Pelanggaran Prohibited Practices – 35 Juta Euro atau 7%
Ini kelas terberat. Kena buat perusahaan yang mengoperasikan AI yang dilarang total: social scoring ala China, AI manipulatif yang mengeksploitasi vulnerability, real-time biometric identification di ruang publik tanpa alasan sah, predictive policing berbasis profiling.
Angkanya: hingga 35 juta euro atau 7% dari total global annual turnover di tahun finansial sebelumnya, whichever higher. Buat perusahaan seperti Meta, Google, atau Microsoft, 7% dari turnover global bisa jauh melampaui 35 juta euro. Bahkan buat startup yang baru Series B, 35 juta euro bisa jadi angka yang menghancurkan.
Tier 2: Pelanggaran High-Risk Requirements – 15 Juta Euro atau 3%
Ini kelas yang paling sering kena buat developer AI B2B. Pelanggaran di tier ini mencakup: gagal menyediakan technical documentation sesuai Annex IV, nggak melakukan risk assessment yang memadai, nggak implementasi human oversight, gagal melakukan conformity assessment via notified body (kalau diwajibkan).
Angkanya: hingga 15 juta euro atau 3% dari global annual turnover. Skenario paling umum: perusahaan sudah punya produk high-risk live di EU, tapi dokumentasinya versi “seadanya” dan risk assessment cuma formalitas. Begitu otoritas nasional audit, banyak gap ketemu. Ini yang paling sering menimpa perusahaan yang menganggap AI Act sebagai “urusan legal doang.”
Tier 3: Informasi Tidak Akurat ke Regulator – 7,5 Juta Euro atau 1%
Jangan remehin tier ini. Kalau kamu kasih data yang salah atau menyesatkan ke notified body atau otoritas nasional, dendanya bisa sampai 7,5 juta euro atau 1% dari turnover. Termasuk di sini: klaim sistem kamu limited risk padahal sebenarnya high risk, atau ngasih dokumentasi teknis yang nggak merepresentasikan realitas sistem.
Yang bikin tier ini berbahaya: seringkali perusahaan nggak sengaja memberikan informasi nggak akurat karena engineering dan legal nggak sinkron. Engineering paham sistem tapi nggak ngerti compliance, legal ngerti compliance tapi nggak ngerti teknis. Hasilnya: dokumen yang diajukan tidak akurat secara teknis. Regulator menganggap ini sebagai pelanggaran, bukan kesalahan administratif.
Yang Memicu Investigasi: Nggak Cuma Keluhan Pengguna
Banyak yang ngira investigasi cuma dipicu oleh keluhan pengguna atau laporan kompetitor. Realitanya jauh lebih luas. EU AI Act mendesain post-market monitoring yang mewajibkan provider untuk secara proaktif mengumpulkan data tentang performa sistem mereka. Dari data ini, trigger investigasi bisa muncul dari berbagai arah.
Trigger 1: Serious Incident Reporting (72 Jam)
Kalau sistem AI high-risk kamu menyebabkan serious incident – kematian, kerusakan properti serius, kerugian finansial signifikan, atau pelanggaran hak fundamental – kamu wajib lapor ke otoritas nasional dalam 72 jam. Begitu laporan masuk, investigasi otomatis dimulai.
Masalahnya: definisi serious incident di AI Act cukup luas. Kalau model credit scoring kamu secara sistematis menolak aplikasi dari kelompok demografis tertentu, itu bisa dianggap serious incident. Kalau chatbot kesehatan kamu memberikan saran yang menyebabkan bahaya ke pasien, itu juga serious incident.
Trigger 2: Market Surveillance Rutin
Otoritas nasional punya wewenang untuk melakukan market surveillance tanpa pemicu spesifik. Mereka bisa memilih sampel produk AI yang beredar di pasar dan mengujinya. Kalau hasil pengujian menunjukkan ketidaksesuaian dengan klaim dokumentasi, investigasi dimulai.
Ini mirip kayak FDA di AS yang melakukan random testing terhadap obat. Bedanya, di AI Act, otoritas nggak cuma menguji output final, tapi juga memeriksa dokumentasi, data provenance, dan fairness metrics. Kalau ada gap antara dokumentasi dan realitas, kamu kena.
Trigger 3: Pengaduan Individu dan NGO
AI Act memberikan hak kepada individu dan organisasi non-pemerintah untuk mengajukan pengaduan ke otoritas nasional. Kalau seseorang merasa dirugikan oleh keputusan AI kamu, mereka bisa langsung mengadu. Otoritas wajib menindaklanjuti.
Uni Eropa punya tradisi kuat dalam hal ini. NGO seperti AlgorithmWatch, Access Now, dan EDRi sudah sangat aktif mengawasi implementasi AI Act. Mereka punya kapasitas teknis untuk menganalisis sistem AI dan mengidentifikasi pelanggaran. Jangan anggap remeh kekuatan civil society di EU.
Trigger 4: Dokumentasi yang Gagal Audit – Bahaya yang Sering Diabaikan
Ini insight yang jarang dibahas: dokumentasi yang buruk bisa jadi trigger investigasi bahkan ketika sistem kamu belum menyebabkan kerugian apa pun. Begini skenarionya: otoritas nasional melakukan market surveillance, meminta sampel dokumentasi teknis dari beberapa provider. Dokumentasi kamu dinilai nggak lengkap, nggak sesuai Annex IV, atau nggak up-to-date. Ini bukan pelanggaran ringan. Ini bisa jadi dasar untuk investigasi penuh.
Prinsipnya sederhana: kalau kamu nggak bisa menunjukkan bahwa sistem AI kamu comply, regulator akan mengasumsikan bahwa sistem kamu nggak comply. Beban pembuktian ada di kamu sebagai provider, bukan di regulator.
Mekanisme Perhitungan Denda: Whichever Higher yang Mengerikan
Formula “whichever higher” di EU AI Act adalah senjata paling tajam regulator. Begini cara kerjanya: regulator menghitung dua angka – (1) nominal tetap (35 juta / 15 juta / 7,5 juta euro) dan (2) persentase dari global annual turnover (7% / 3% / 1%). Mereka akan memilih angka yang lebih besar.
- Startup dengan turnover 5 juta euro: Kalau kena tier 1, nominal tetap 35 juta euro jauh lebih besar dari 7% x 5 juta = 350 ribu euro. Regulator akan pilih 35 juta euro.
- Perusahaan dengan turnover 1 miliar euro: Kalau kena tier 1, 7% x 1 miliar = 70 juta euro, lebih besar dari nominal tetap 35 juta. Regulator akan pilih 70 juta euro.
Yang perlu diingat: ini denda maksimum. Regulator punya diskresi untuk menyesuaikan berdasarkan faktor seperti: tingkat kerja sama selama investigasi, apakah pelanggaran disengaja atau karena kelalaian, riwayat kepatuhan sebelumnya, dan langkah mitigasi yang sudah diambil. Tapi jangan berharap diskresi ini bakal menyelamatkan kamu kalau pelanggarannya serius.
Dan satu lagi: AI Act dan GDPR bisa menjatuhkan denda secara bersamaan. Keduanya independen. Kalau pelanggaran kamu menyentuh kedua regulasi, kamu bisa kena denda ganda. Ini yang bikin compliance officer di perusahaan tech Eropa nggak bisa tidur nyenyak.
EU vs GDPR Enforcement: Kenapa AI Act Lebih Agresif
Kalau kamu bandingkan track record enforcement GDPR di 6-7 tahun pertama, banyak kritik bahwa dendanya nggak cukup tegas dan investigasi lambat. EU AI Act belajar dari kelemahan ini dan mendesain enforcement dengan gigi yang lebih tajam.
- Market surveillance lebih proaktif: GDPR cenderung reaktif (nunggu pengaduan). AI Act mendorong otoritas untuk aktif menguji produk di pasar.
- Deadline lebih ketat: Serious incident reporting 72 jam di AI Act menciptakan tekanan waktu yang lebih besar dibanding GDPR breach notification.
- Denda lebih tinggi: Tier tertinggi AI Act (7%) melampaui tier tertinggi GDPR (4%). Ini sinyal jelas bahwa EU menganggap pelanggaran AI lebih berbahaya secara sistemik.
- AI Office untuk GPAI: GDPR nggak punya badan khusus untuk teknologi spesifik. AI Act membentuk AI Office dengan mandat khusus untuk model besar, sebuah pendekatan yang lebih terfokus.
Baca juga: EU AI Act vs GDPR: Kenapa Tim Compliance Kamu Nggak Bisa Cuma Copy-Paste Kebijakan Lama untuk mapping lengkap overlap dan gap antara dua regulasi ini.
Yang Bisa Kamu Lakukan Sekarang: Pre-Audit Readiness
Daripada panik ketika enforcement notice tiba, lebih baik siapkan fondasi pre-audit readiness. Ini beberapa langkah yang bisa langsung kamu terapkan:
- Mapping otoritas yang relevan: Identifikasi otoritas nasional mana yang mengawasi operasi kamu. Kalau produk digunakan di 3 negara EU, kamu perlu tahu siapa yang berwenang di masing-masing.
- Tunjuk EU Authorized Representative: Kalau perusahaan kamu di luar EU (termasuk Indonesia), kamu wajib menunjuk perwakilan resmi di EU. Ini bukan opsional, ini mandatory.
- Simulasi serious incident: Lakukan tabletop exercise: apa yang terjadi kalau besok ada serious incident? Siapa yang eskalasi? Bagaimana timeline 72 jam dijalankan? Siapa yang berkomunikasi dengan regulator?
- Dokumentasi yang siap audit: Pastikan technical documentation, risk assessment, dan conformity declaration selalu up-to-date dan bisa diakses dalam 24 jam setelah diminta. Jangan sampai dokumen kunci tersimpan di laptop engineer yang lagi cuti.
- Legal hold procedure: Begitu investigasi dimulai, semua data terkait sistem AI harus di-freeze. Log inference, dataset training, model version history, komunikasi internal. Kalau ada yang dihapus, itu obstruction of justice.
Kesimpulan: Kenali Medan Sebelum Kena
Struktur penegakan EU AI Act itu kompleks, bertingkat, dan punya gigi yang cukup tajam. Otoritas nasional jadi garda depan audit. EU AI Board dan AI Office mengawasi model besar dan koordinasi lintas batas. Notified body jadi gatekeeper independen untuk high-risk systems. Dan denda dihitung dengan formula “whichever higher” yang bisa menghancurkan.
Tapi yang paling penting: investigasi nggak cuma dipicu oleh insiden. Dokumentasi yang buruk, informasi yang nggak akurat ke regulator, dan ketidakmampuan menunjukkan compliance bisa jadi trigger independen. Strategi paling aman adalah pre-audit readiness: dokumentasi rapi, tim siap, dan jalur eskalasi jelas.
Kalau kamu baru mulai perjalanan compliance AI Act, baca panduan lengkap kami: AI Act Mulai Diberlakukan Agustus 2026: Tim Kamu Bisa Kena Denda 35 Juta Euro Tanpa Checklist Ini. Dan kalau kamu pakai open-source model, wajib baca: Open Source Loophole di EU AI Act: Kenapa Model Gratisan Kamu Bisa Kena Jerat Hukum.
Untuk update terbaru seputar regulasi AI, privacy, dan strategi compliance, subscribe newsletter kami. Kami kirim analisis yang bikin tim kamu comply lebih cepat dan lebih efisien, bukan cuma sekadar centang checklist.
Referensi: EU AI Act Official Resources, EU Commission AI Policy, NIST AI Risk Management Framework.
